一、全局變量

register_global 可以設(shè)置成off或者on ，默認(rèn)為off,決定是否將 EGPCS（Environment，GET，POST，Cookie，Server）變量注冊(cè)為全局變量。

如果 register_globals打開的話, 客戶端提交的數(shù)據(jù)中含有GLOBALS變量名, 就會(huì)覆蓋服務(wù)器上的$GLOBALS變量。

由此引起的安全問題成為PHP的“自動(dòng)全局變量漏洞”，請(qǐng)一定要關(guān)掉register_globals選項(xiàng)。并且使用 $_GET, $_POST, $_COOKIE 而非 $_REQUEST

漏洞代表：discuz 6.x/7.x php版本在5.3以上，request_order默認(rèn)值為GP，即默認(rèn)配置下$_REQUEST只包含$_GET和$_POST而不包括$_COOKIE。借助COOKIE即可提交GLOBALS變量。